CVE-2026-84379

HTTPX2, Python için yeni nesil bir HTTP istemcisidir. 2.11.0 sürümünden önce, src/httpx2/httpx2/_multipart.py dosyasındaki FileField.render_headers(), files= üç öğeli (filename, content, content_type) demetinden ve files= dört öğeli (filename, content, content_type, headers) demetinden gelen saldırgan kontrollü content_type değerlerini ve özel başlıkları, başlık adlarını veya değerlerini doğrulamadan doğrudan multipart/form-data bölüm başlıklarına yerleştirmektedir. CR veya LF karakterleri bir bölüm başlığını sonlandırabilir, ek bölüm başlıkları enjekte edebilir veya bölüm başlığı bloğunu erken bitirebilir; bu durum, alt akıştaki bir multipart ayrıştırıcısının saldırgan tarafından sağlanan satırları gerçek başlıklar olarak değerlendirmesine yol açarak potansiyel olarak bölüm semantiğini değiştirebilir veya başlık tabanlı kontrollerin atlatılmasına neden olabilir. Bu sorun 2.11.0 sürümünde düzeltilmiştir.